A norma ISO/IEC 27.001 estabelece que, in verbis:
7 Análise crítica do SGSI pela direção
7.1 Geral
A direção deve analisar criticamente o SGSI da organização a intervalos planejados (pelo menos uma vez por ano) para assegurar a sua contínua pertinência, adequação e eficácia. Esta análise crítica deve incluir a avaliação de oportunidades para melhoria e a necessidade de mudanças do SGSI, incluindo a política de segurança da informação e objetivos de segurança da informação. Os resultados dessas análises críticas devem ser claramente documentados e os registros devem ser mantidos (ver 4.3.3).
7.2 Entradas para a análise crítica
As entradas para a análise crítica pela direção devem incluir:
(...)
e) vulnerabilidades ou ameaças não contempladas adequadamente nas análises/avaliações de risco anteriores;
Note-se que a norma é taxativa ao afirmar que as vulnerabilidades ou ameaças não contemplateas adequadamente devem servir de entradas para a análise crítica da organização.
Por outro lado, o trecho destacado - "Esta análise crítica deve incluir a avaliação de oportunidades para melhoria e a necessidade de mudanças do SGSI" - que esta faze envolve identificar, claramente, oportunidades de melhorias. Assim, está de fato relacionado à fase Check do ciclo PDCA (Plan, Do, Check, Act).
Razões pelas quais trata-se de um item certo.